Oracle WebLogic Server Multiple Vulnerabilities (January 2019 CPU)

critical Nessus 插件 ID 121226

语言：

简介

远程主机上安装的应用程序服务器受到多个漏洞的影响。

描述

远程主机上安装的 Oracle WebLogic 服务器版本受到多个漏洞的影响：- 在 Apache Derby 10.12.1.1 之前的版本中，SqlXmlUtil 代码内的 XML 外部实体 (XXE) 漏洞在 Java Security Manager 未备妥时，可让环境相关的攻击者通过与 XmlVTI 和 XML 数据类型相关的向量，读取任意文件或造成拒绝服务（资源消耗）。(CVE-2015-1832) - Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 及之前版本在 RSA 密钥组生成器的低层级接口中存在缺陷，具体而言，在低层级 API 中产生的 RSA 密钥组具有更高的确定性，所需要的 M-R 测试可能比预期更少。这似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修复。CVE-2018-1000180 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的高特权攻击者通过 HTTP 危害 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改对关键数据或所有 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 挂起，或频繁出现崩溃（完全 DOS）。CVE-2019-2452 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 T3 危害 Oracle WebLogic Server。虽然该漏洞是在 Oracle WebLogic Server 中，但攻击也会对附加产品造成巨大影响。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2418 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。支持的版本中受影响的是 10.3.6.0。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2395 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：应用程序容器 - JavaEE）中有漏洞。支持的版本中受影响的是 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致 Oracle WebLogic 服务器可访问数据子集的未授权读取访问。CVE-2019-2441 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：WLS - 部署）中有漏洞。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限。(CVE-2019-2398) - Legion of the Bouncy Castle Java Cryptography API 1.60 之前的版本受到 CWE-470 的影响：在 XMSS/XMSS^MT 私钥反序列化例程中存在使用外部控制的输入选取类或代码（“非安全反射”）的缺陷。这可让攻击者强制执行任意代码。成功的攻击可通过使用特制的私钥对象，并参考允许恶意命令执行的非预期类进行。CVE-2018-1000613 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。受影响的支持版本为 12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致关键数据的未授权访问或所有 Oracle WebLogic 服务器可访问数据的完全访问。(CVE-2018-3246) - 在 Apache Derby 10.3.1.4 到 10.14.1.0 中，可使用特制的网络数据包请求 Derby Network Server 启动其位置和内容处于用户掌控之下的数据库。如果 Derby Network Server 未使用 Java Security Manager 策略文件执行，则攻击会成功。如果服务器要使用策略文件，该策略文件必须允许读取数据库位置，攻击才能起作用。与受影响的版本一同分发的默认 Derby Network Server 策略文件包括一个宽松策略，该策略会作为默认 Network Server 策略，可让攻击起作用。(CVE-2018-1313)